MAStudio安全设计方案.docVIP

在手机上，您可以使用操作本单位的各类业务信息系统 在手机上，您可以查询浏览单位局域网共享的资料文档 在手机上，您可以及时接收和处理紧急突发事件的信息 用手机，您能随时随地、放飞心情、自由自在的工作。。。。。。 基于MAStudio的手机移动应用 安全方案 南京中帕软件有限公司 2010年6月 基于Mastudio的手机移动应用 安全方案 很多单位通过采用移动信息化的技术，获得了明显的效益。随着对移动内容要求的增长，几乎所有的政府、企业把安全作为是否采用某个解决方案的第一道关口。没有一个有效的安全体系模型，敏感的数据可能就会泄漏，导致组织利益遭到伤害。 对于移动应用，政府、企业会存在这样的疑问：传输是看不见摸不着的，系统是怎么保证数据安全的？ 1、安全体系 基于应用系统的安全性运行物理环境的安全性、服务器及网络的安全性、操作系统的安全性及应用数据的安全性等。VPN 网关不支持手机终端连接、某些网络条件下无法接通、病毒入侵、无法审计等，C/S、B/S应用程序、、电子邮件提供, 确保数据在传输过程中不被改变。 2、服务器仅开放专用端口（8400），两端采用不同协议标准，不存放用户数据，实质为移动应用代理网关，可对数据封包进行验证和对接入终端身份进行确认等安全管制。 2.2 MAS 网络安全的实现 常规的实现方式是在企业的防火墙后面放置一服务器。传输过程中起到的主要作用是代理。当用户发送访问应用服务器的请求时，请求并没有被直接发送给应用服务器，而是被接收，接收后的数据首先被进行协议解析，然后执行身份认证和访问控制等安全策略，最终再将数据转换为适当的后端协议，传送给应用服务器由于应用服务器，从而有力地保护了专用网络。 3、手机终端接入安全 3.1运营商级的安全接入 VPDN是虚拟拨号专用网络（VirtualPrivateDialupNetwork）的缩写，它基于拨号用户的虚拟专用拨号网业务，利用IP和其他网络的承载功能，结合相应的认证和授权机制，可以建立安全的虚拟专用网络。VPDN业务主要面向企业以及政府管理部门。企业申请该业务后，只需要将其企业内部网通过一条专线接入到互联网络，用户即可在国内任何地方拨号使用VPDN业务进入到该虚拟专用网中，安全地访问自己所需要的信息资源。用户可以方便灵活地自行对所属拨号用户进行开户、销户、设置用户权限等操作。 MAStudio平台支持中国电信VPDN和中国移动APN同步接入并存运行。 3.2 基于防火墙保护的公网接入 对于众多企业用户，可采用Internet公网接入的方式访问移动应用系统。通过对防火墙的配置，保证服务器本身的安全；配合Mastudio平台自身的安全机制全面保证移动应用系统的安全。 该接入方式成本最低，无需向运营商申请专线并支付相应费用。 2.3 MAStudio客户端程序接入 MAStudio客户端安装程序是受控的，在未获取授权情况下非法拷贝的MAStudio客户端安装程序安装到手机上是运行不了的。 安装客户端程序前必须通过授权工具获取安装机器的硬件设备信息，将该硬件信息发送到MAStudio服务器通过硬件设备来产生授权证书，获取到该证书后客户端程序才可以启动运行。 MAStudio产生客户端授权证书的工具必须运行于服务器，其将终端的信息存放于硬件中，即使管理员也无法进行修改和删除，确保所有经过授权的手机终端都有记录可查。 4、传输安全 4.1 DES64位私钥加密 在手机终端和手机支撑平台之间接驳移动网络时，MAStudio平台提供了可选的高强度的DES64位数据加密体制，DES算法可以运行于所有操作系统，从而保证了各类型的终端能够同时并采用同样加密算法连接到服务器。 MAStudio平台为每个企业分配私有密钥，并将其存放于硬件设备中，在硬件级别的基础上控制传输安全而防止篡改。 5、存储安全 5.1 用户密码安全 MAStudio服务器在交互过程不存储用户的账号、密码，实时发送到企业业务系统中进行身份认证。 5.2 终端临时数据存储安全 对于手机终端访问连接移动应用系统产生时临时数据，MAStudio平台采取DES64动态加密存储，即手机终端与服务器建立连接时商订密钥，各台手机终端每次连接的密钥均不一样。同时，临时数据在手机中存放位置对用户来说是不透明的，在连接结束后系统会自动删除释放。这样即使其他人在得到手机端缓存的信息时，依旧无法快速有效的还原出原本的数据，这样可以在一定程度上解决用户的持久化数据泄漏问题。 基于MAStudio构建的移动应用系统独立于原有的应用系统之上，对于移动应用系统需要与原系统相衔接的部分，系统做了必要的数据业务分离，即使发生错误，移动应用系统也不会影响原有业务系统的运行。 6.2 冗余部署 系统支持双机热备方式的冗余部署方案，使得系统某